'/%3E%3C/svg%3E){kind=small}
Er is een kwetsbaarheid bekendgemaakt in Java die vragen oproept bij beheerders van HCL Domino. De kwetsbaarheid heeft het nummer CVE-2026-91403 en heeft te maken met de manier waarop Java bepaalde digitale certificaten vertrouwt.
Omdat Domino voor onderdelen en toepassingen Java gebruikt, is de vraag of ook Domino-omgevingen risico lopen. HCL onderzoekt dat op dit moment. Wat is er aan de hand en wat kun je als beheerder nu al doen?
Stand van zaken: 27 oktober 2026.
Wat is er aan de hand?
Digitale certificaten worden gebruikt om beveiligde verbindingen op te zetten en de identiteit van een systeem te controleren. Je kunt een certificaat zien als een digitaal identiteitsbewijs: het helpt software vast te stellen of zij daadwerkelijk verbinding maakt met de bedoelde partij.
Bij deze kwetsbaarheid gaat het om certificaten die samenhangen met certificaatuitgever eMudhra. Van enkele zogenoemde tussencertificaten zijn de privésleutels onvoldoende sterk gebleken. Daardoor bestaat het risico dat een aanvaller deze sleutels kan achterhalen en gebruiken om valse certificaten te maken.
Java kan zulke certificaten onder bepaalde omstandigheden als betrouwbaar accepteren. De verbinding lijkt dan beveiligd, terwijl de software mogelijk met een andere partij communiceert dan bedoeld.
Wat zou een aanvaller hiermee kunnen?
Stel dat een Java-toepassing vanuit je Domino-omgeving verbinding maakt met een externe dienst, bijvoorbeeld een API. Normaal gesproken controleert de toepassing het certificaat van die dienst voordat gegevens worden uitgewisseld.
Als een aanvaller erin slaagt het verkeer te onderscheppen of om te leiden en daarbij een geschikt vals certificaat aanbiedt, kan de Java-toepassing mogelijk denken dat zij met de echte dienst communiceert. De aanvaller zou dan, afhankelijk van de verbinding en de gegevens die worden uitgewisseld, informatie kunnen meelezen of aanpassen. Denk bijvoorbeeld aan gegevens die naar een externe toepassing worden verstuurd of aan antwoorden die daarvan terugkomen.
Daarvoor moet wel aan meerdere voorwaarden zijn voldaan. De aanvaller moet bijvoorbeeld een positie hebben waarmee het verkeer kan worden onderschept of omgeleid, en de betrokken Java-omgeving moet het valse certificaat accepteren. De kwetsbaarheid betekent dus niet automatisch dat een aanvaller rechtstreeks kan inloggen op een Domino-server of alle Notes-databases kan lezen.
Is HCL Domino kwetsbaar?
Dat is op dit moment nog niet definitief vastgesteld. HCL Support heeft op 22 oktober laten weten dat het productbeveiligingsteam onderzoekt wat de mogelijke gevolgen voor HCL Domino zijn. In die reactie worden nog geen getroffen Domino-versies of een concrete oplossing genoemd.
Dat Domino Java gebruikt, is een reden om de situatie serieus te volgen. Maar het is op zichzelf onvoldoende om te concluderen dat iedere Domino-server kwetsbaar is. De mogelijke impact hangt onder meer af van de gebruikte Java-versie, de certificaten die die omgeving vertrouwt en de manier waarop toepassingen verbindingen maken.
Oracle heeft voor zijn eigen Java-producten updates en maatregelen gepubliceerd. Die informatie is relevant voor het begrijpen van de kwetsbaarheid, maar betekent niet automatisch dat een Oracle-update geschikt is voor de Java-versie die bij Domino wordt geleverd.
Wat kun je als Domino-beheerder nu doen?
Ook zolang de beoordeling van HCL loopt, kun je de situatie voor je eigen omgeving in kaart brengen.
1. Volg de informatie van HCL
Houd HCL Support en de discussie in de HCL Domino-community in de gaten. Let op een eventuele bevestiging van getroffen versies, een beveiligingsadvies en een door HCL ondersteunde oplossing.
Gebruik je Domino in een bedrijfskritische omgeving? Dan kan het verstandig zijn om bij HCL Support of je leverancier na te vragen wat de actuele stand van zaken is voor jouw versie en platform.
2. Breng Java-koppelingen in beeld
Kijk welke toepassingen vanuit Domino Java gebruiken om beveiligde verbindingen te maken met andere systemen. Denk bijvoorbeeld aan Java-agents, webservices en koppelingen met externe API’s.
Breng in kaart met welke systemen zij communiceren en welke gegevens daarbij worden uitgewisseld. Dat helpt om te bepalen waar de mogelijke gevolgen het grootst zijn als een verbinding niet betrouwbaar blijkt.
3. Bekijk bestaande netwerkmaatregelen
Controleer of uitgaande verbindingen vanaf de server beperkt zijn tot systemen en diensten die daadwerkelijk nodig zijn. Bespreek dit zo nodig met de netwerk- of beveiligingsbeheerder.
Dergelijke maatregelen kunnen het risico verkleinen, maar zijn op zichzelf geen volledige oplossing voor de kwetsbaarheid. Een toegestane verbinding kan immers nog steeds een doelwit zijn als verkeer wordt onderschept of omgeleid.
4. Houd je omgeving bijgewerkt
Controleer of Domino en de bijbehorende onderdelen op een ondersteunde versie en het actuele, voor jouw omgeving geschikte fixniveau staan. Daarmee is deze specifieke kwetsbaarheid niet automatisch opgelost, maar het zorgt er wel voor dat bekende, eerder verholpen problemen zijn aangepakt.
Wat kun je beter niet doen?
Vervang de Java-versie van Domino niet zomaar zelf. Domino is afhankelijk van de Java-componenten die bij de betreffende versie worden geleverd. Een zelfstandige vervanging kan problemen veroorzaken en mogelijk gevolgen hebben voor de ondersteuning. Wacht op instructies van HCL of stem een voorgestelde wijziging vooraf af met HCL Support.
Verwijder of wijzig certificaten niet op goed geluk. Daarmee kun je bestaande verbindingen verstoren, terwijl niet vaststaat dat de wijziging in jouw Domino-omgeving de juiste bescherming biedt. Als een tijdelijke maatregel nodig is, laat dan eerst bevestigen dat die voor jouw versie geschikt en ondersteund is, en test de gevolgen.
Schakel de controle van certificaten niet uit. Dat maakt beveiligde verbindingen juist minder betrouwbaar en kan het risico vergroten.
Ga er ook niet vanuit dat er geen risico is omdat de Domino-server zelf niet rechtstreeks vanaf internet bereikbaar is. Het mogelijke risico kan juist betrekking hebben op verbindingen die toepassingen vanaf de server naar andere systemen opzetten.
Afwachten, maar wel voorbereid zijn
Op dit moment is voorzichtigheid op zijn plaats. De kwetsbaarheid in Java is serieus, maar HCL onderzoekt nog wat die concreet betekent voor Domino.
Het verstandigste is om de communicatie van HCL te volgen, de Java-koppelingen in je omgeving in beeld te brengen en alvast te bepalen welke verbindingen en gegevens extra aandacht verdienen. Zo ben je voorbereid om gericht actie te ondernemen zodra HCL meer duidelijkheid of een passende oplossing biedt.
Nieuws van 29-10-2026:
Impact
- Risico: Omdat bepaalde eMudhra-certificaten zijn gecompromitteerd, kunnen onbetrouwbare of vervalste servercertificaten ten onrechte als geldig worden beschouwd.
- Gevolgen: Aanvallers kunnen hierdoor uitgaande TLS-verbindingen (binnen bijvoorbeeld Java/JVM en libcurl-componenten van Notes en Domino) onderscheppen of manipuleren via een Man-in-the-Middle (MITM)-aanval.
Oplossing (Tijdelijke handmatige stappen tot officiële patches beschikbaar zijn)
- JVM Trust Store bijwerken:
- Stop de Notes- of Domino-service.
- Verwijder de gecompromitteerde root-certificaten (zoals
emSign ECC Root CA - G3) handmatig uit de Java keystore (cacerts) met behulp van het Javakeytool-commando.
- Libcurl Trust Store (
cacert.pem) opschonen:- Verwijder de regels van de gecompromitteerde emSign CA-certificaten (en eventueel het Comodo AAA-certificaat in oudere versies) uit het bestand
cacert.pemin de Data-directory.
- Verwijder de regels van de gecompromitteerde emSign CA-certificaten (en eventueel het Comodo AAA-certificaat in oudere versies) uit het bestand
- Database-instellingen controleren:
- Controleer of er handmatig gecompromitteerde internetcertificaten zijn toegevoegd aan
names.nsfofcertstore.nsf, en verwijder of vervang deze door veilige, vertrouwde alternatieven.
- Controleer of er handmatig gecompromitteerde internetcertificaten zijn toegevoegd aan
- Herstarten:
- Start Notes of Domino na het toepassen van de wijzigingen opnieuw op.
Bronnen
- What steps are required to protect HCL Notes and Domino from the eMudhra Certificate Compromise issue?
- Security Bulletin: eMudhra Compromised Certificate vulnerabilities in Java impact HCL Domino Server (CVE-2026-91403, CVE-2026-114820)
- HCL Domino-community: onderzoek naar de impact op Domino
- Oracle Security Alert: CVE-2026-91403
- Red Hat: toelichting op CVE-2026-91403
